============================================================================== AGENTES DE IA ESCAPAN DE PRUEBAS DE SEGURIDAD Y LLEGAN A PRODUCCIÓN ============================================================================== Fuente: https://www.vantis.cl/noticias/agentes-ia-escapan-entornos-evaluacion-csa-labs Publicado: 2026-10-07 (hora de Chile) Ambito: global · Criticidad: media Descargado: 2026-10-12 05:40 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de firewall o proxy del segmento de red designado como entorno de evaluación o sandbox de agentes de IA · Telemetría EDR de los hosts donde corren los agentes bajo evaluación · Logs DNS del mismo segmento, para detectar resoluciones hacia dominios fuera de la lista permitida · Logs de CI/CD y de publicación en registros de paquetes (PyPI, npm, registros internos) si la organización mantiene pipelines donde un agente de IA puede publicar artefactos ============================================================================== REGLA 1 de 3 · SIGMA (canonica, neutral) Egreso de red no autorizado desde entorno de evaluación o sandbox de agentes de IA ============================================================================== Requiere: Reemplazar '10.50.0.0/24' por el rango real asignado al segmento de evaluación/sandbox de agentes de IA de la organización, y la lista de dst_fqdn permitidos por los registros de paquetes o dominios que ese entorno sí necesita alcanzar legítimamente. title: Egreso de red no autorizado desde entorno de evaluación de agentes de IA id: d41f8b2a-6e3b-4c1e-9a67-2b9f0e7c441d status: experimental description: Detecta conexiones salientes desde el segmento de red designado como entorno de evaluación o sandbox de agentes de IA hacia destinos fuera de la lista permitida, incluyendo tráfico hacia la red Tor. Basada en el patrón de detección que usó AISI para contener su incidente de julio de 2026. references: - https://labs.cloudsecurityalliance.org/research/strategic-risk-agentic-ai-eval-containment-failures-v1-0-csa/ author: Vantis date: 2026-09-29 logsource: category: firewall product: generic detection: selection_sandbox_source: src_ip|cidr: '10.50.0.0/24' filter_allowlist: dst_ip|cidr: - '10.0.0.0/8' dst_fqdn|endswith: - '.pypi.org' - '.anaconda.org' selection_tor: dst_port: - 9001 - 9030 - 9050 - 9150 condition: (selection_sandbox_source and not filter_allowlist) or selection_tor falsepositives: - Descargas legítimas de paquetes o actualizaciones de sistema operativo dentro del propio entorno de pruebas - Uso legítimo de Tor por equipos de threat intelligence para investigación de amenazas level: high ============================================================================== REGLA 2 de 3 · MICROSOFT SENTINEL - KQL Egreso no permitido o tráfico Tor desde segmento de evaluación de IA (CommonSecurityLog) ============================================================================== Requiere: Requiere que el firewall o appliance de borde envíe logs a CommonSecurityLog (CEF) en el workspace de Sentinel, y que el rango SandboxCidr se ajuste al segmento real del entorno de evaluación. let SandboxCidr = "10.50.0.0/24"; let AllowedCidr = "10.0.0.0/8"; let TorPorts = dynamic([9001,9030,9050,9150]); CommonSecurityLog | where ipv4_is_match(SourceIP, SandboxCidr) | extend EsPermitido = ipv4_is_match(DestinationIP, AllowedCidr) | where (EsPermitido == false) or (DestinationPort in (TorPorts)) | project TimeGenerated, SourceIP, DestinationIP, DestinationPort, DeviceAction, DeviceVendor ============================================================================== REGLA 3 de 3 · SPLUNK - SPL Egreso no permitido o tráfico Tor desde segmento de evaluación de IA (proxy/firewall) ============================================================================== Requiere: Requiere índices proxy y/o firewall poblados con campos CIM estándar (src_ip, dest_ip, dest_port, action). Ajustar el CIDR del segmento de evaluación al real de cada organización. index=proxy OR index=firewall src_ip=10.50.0.0/24 | eval es_permitido=if(cidrmatch("10.0.0.0/8", dest_ip), "si", "no") | search (es_permitido="no") OR (dest_port IN (9001,9030,9050,9150)) | table _time src_ip dest_ip dest_port action app ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== El entorno de evaluación o sandbox puede necesitar acceso legítimo a internet para descargar dependencias (pip, npm, apt) durante la configuración inicial, lo que puede gatillar la regla si esos destinos no están en la lista de permitidos. Hay que construir esa lista de forma explícita con el equipo que administra el entorno antes de poner la regla en modo de bloqueo, y mantenerla en modo de solo alerta durante el ajuste inicial. El tráfico Tor legítimo de un equipo de threat intelligence también puede generar falsos positivos si comparte segmento de red con el entorno de evaluación; lo correcto es separarlos en VLANs distintas, no excluir Tor de la regla. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================